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The invention relates to a^method for detecting: errors; 6f m in control devices of an 

automobile. According to the inventive nriethod/a control device can transmit and receive 
bus. The output of the microprocessor is monitored by means of a watchdog circuit Said watchdog circuit 
compares the signal output by the microprocessor: with predetermined signal patterns. An error is detected 
by the watchdog circuit if the signals output by the microprocessor do not correspond to any of the 
predetermined signal patterns. The invention also relates to a further method for detecting errors of 
microprocessors in control devices of an automobile. According to said further method/a first control device 
can exchange data with at least one further control device via a data bus. The data required for carrying out 
at least part of the control or regulatory task of the first control device are supplied by the same to the at 
least one further control device via the data bus. 
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Die folgenden Angaben sind den vom Anmelder eingereichten Unterlagen entnommen 

(g) Verfahren zur Fehlerkennung von Mikroprozessoren in Steuergeraten eines Kfz. 

@ Die vorliegende Erfindung betrifft ein Verfahren zur 
Fehlererkennung von Mikroprozessoren in Steuergeraten 
eines Kfz, wobei ein Steuergerat mittels eines Datenbus- 
ses Daten senden und empfangen kann, wobei der Aus- 
gang des Mikroprozessors mittels einer Watchdog-Schal- 
tung iiberwacht wird, wobei die Watchdog-Schaltung die 
von dem Mikroprozessor ausgegebenen Signale mit vor- 
gegebenen Signalmustern vergleicht, wobei ein Fehler 
erkannt wird, wenn die von dem Mikroprozessor ausge- 
gebenen Signale nicht mit einem der vorgegebenen Si- 
gnalmuster ubereinstimmen. 

Weiterhin betrifft die Erfindung ein Verfahren zur Fehler- 
kennung von Mikroprozessoren in Steuergeraten eines 
Kfz, wobei ein erstes Steuergerat mittels eines Datenbus- 
ses Daten mit wenigstens einem weiteren Steuergerat 
austaus<5hen kann, wobei von dem ersten Steuergerat die 
zur Durchfuhrung zumindest eines Teiles der Steuer- oder 
Regelaufgabe dieses Steuergerates notwendigen Daten 
mittels des Datenbusses dem wenigstens einen weiteren 
Steuergerat zugefuhrt werden, daB entsprechend dem 
Verfahren zur Steuerung bzw. Regelung in dem ersten 
Steuergerat die von dem ersten Steuergerat zu ermitteln- 
den und gegebenenfalls auszugebenden Daten von dem 
wenigstens etnen weiteren Steuergerat nachgebildet 
werden, wobei ein Fehler erkannt wird, wenn die in dem 
ersten Steuergerat ermittelten Daten von den von dem 
wenigstens einen weiteren Steuergerat ermittelten Daten 
abweichen. 

Anstatt der Ubertragung uber den Datenbus ist ebenfalls 
die direkte ... 
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Beschrcibung 



• Die Erfindung betrifftein Verfahren zur Fehlererkennung 
von MikroproTessoren in Steuergeralen eines Kfz nach dem 
Oberbegriff des Paten lanspruches 1, 2 oder 3. 5 

Der Annielderin sind bereits derartige Verfahren bekannt, 
bei denen ein Mikroprozessor und/oder ein Datenbus niittels 
einer Watchdog-Schaltung uberwacht werden. Dabei wird 
miitels einer Waichdog-Schahung zyklisch uberwacht, ob 
Signalimpulse auftreten, d. h. ob Daten gesendet werden. 10 
Wenn keine Signalimpulse auftreten, wird ein Fehler er- 
kannt. Weiterhin ist es bekannt, Steuergerate mit zwei Mi- 
kroprozessoren zu versehen, die zumindest bestimmte 
Steuer- oder Regelaufgaben parallel bearbeiten. A us eineni 
Vergleich der von den beiden Mikroprozessoren gewonnen 15 
Ergebnisse kann im Falle von Abweichungen in den Ergeb- 
nissen ebenfalls ein Fehler erkannt werden. 

Dcmgcgcnubcr ist cs die Aufgabc dor vorlicgcndcn Erfin- 
dung, eine Uberwachung zu verbessem, indeni diese Uber- 
wachung mil einem moglichst geringen Bauteileaufwand 20 
moglich ist und gleichzeitig moglichst sichere Ergebnisse 
bei der Fehlererkennung liefert. 

Diese Aufgabe wird erfindungsgemaB nach Anspruch 1 
gelost, indem die Watchdog-Schaltung die von dem Mikro- 
prozessor ausgegcbenen Sign ale mil vorgegebenen Signal- 25 
mustem vergleicht, wobei ein Fehler erkannt wird, wenn die 
von dem Mikroprozessor ausgegcbenen Signale nicht iiiit 
einem der vorgegebenen Signalmuster ubereinstimmen. 

Gegenuber der bekannten Verwendung der Watchdog- 
Schaltung erweist es sich hierbei als vorteilhaft, daS nicht 30 
lediglich gepriift wird, ob iiberhaupt Signale gesendet wer- 
den, sondem daB ebenfalls gepriift wird, ob die Signale 
eventuell auf einen Fehler schlieBen lassen. Indem nainlich 
das vorliegende Signalmuster mit den moglichen Signalmu- 
stem verglichen wird, kann das vorliegende Signalmuster IS 
einer Plausibilitatspriifung unterzogen werden. Es kann also 
vorteilhaft bereits dann ein Fehler erkannt werden, wenn 
noch Signale gesendet werden, diese Signale aber offen- 
sichtiich falsch sind. 

Bei dem weiteren erfindungsgemaBen Verfahren nach 40 
Anspruch 2 werden von dem ersten Steuergerat die zur 
Durchfuhrung zumindest eines Teiles der Steuer- oder Rege- 
laufgabe dieses Steuergerates notwendigen Daten mittels 
des Dalenbusses dem wenigstens einen weiteren Steuergerat 
zugefuhrt. Entsprechend dem Verfahren zur Steuerung bzw. 45 
Kegel ung in dem ersten Steuergerat werden die von dein er- 
sten Steuergerat zu emiittelnden und gegebenenfalls auszu- 
gebenden Daten von dem wenigstens einen weiteren Steuer- 
gerat nachgebildet, wobei ein Fehler erkannt wird, wenn die 
in dem ersten Steuergerat ermittelten Daten von den von 50 
dem wenigstens einen weiteren Steuergerat ermittelten Da- 
ten abweichen. 

Indem zumindest ein Teil der Verarbeitung des ersten 
Steuergerates parallel uberpruft wird, ist mit diesem Verfah- 
ren eine besonders gute Uberprufung auf eventuelle Fehler 55 
moglich. Der Aufivand bei der Zufiihrung der Daten zu dem 
wenigstens einen weiteren Steuergerat halt sich insofem in 
Grenzen als diesem Steuergerat die Daten nicht unmittelbar 
von den Sensoren zugefuhrt werden sondem die Daten von 
dem ersten Steuergerat uber den ohnehin vorhandenen Da- 60 
tenbus weitergeleitet werden. Bei diesem Verfahren wird 
weiterhin der Aufwand der benotigten Bauteile minimiert, 
weil es nicht notwendig ist, zur Uberprufung der Funkiion 
eines Mikroprozessors einen weiteren Mikroprozessor vor- 
zuschcn, der kcinc weiteren Funkdoncn mchr wahminimt. 65 
Vielmehr kann mit dem Verfahren nach Anspruch 2 eine 
Funktionspriifung vorgenommen werden durch einen Mi- 
kroprozessor, dessen Hauptaufgabe in der Steuerung bzw. 



Regclung einer anderen GroBe besiehi. Es ist moglich, die 
^Jteuer- bzw, Regelaufgabe vollst^ndig auf einem anderen 
Mikroprozessor parallel verarbeiien zu lassen, dessen 
Hauptfunkt.ion die Steuerung oder Regelung einer anderen 
GroBe ist, so daB dieser Mikroprozessor in einem anderen 
Steuergerat angcordnet ist, oder aber nur sicherheitsrele- 
vante Teile der Steuer- bzw. Regelaufgabe zur Kontrolle 
parallel laufen zu lassen. 

Bei dem Verfahren nach Anspruch 3 werden die zur 
Durchfuhrung zumindest eines Teiles der Steuer- oder Rege- 
laufgabe des ersten Steuergerates notwendigen Daten eben- 
falls wenigstens einen weiterem Steuergerat zugefuhrt. Ent- 
sprechend dem Verfahren zur Steuerung bzw. Regelung in 
dem ersten Steuergerat werden die von dem ersten Steuerge- 
rat zu emiittelnden und gegebenenfalls auszugebenden Da- 
ten von dem wenigstens einen weiteren Steuergerat nachge- 
bildet, wobei ein Fehler erkannt wird, wenn die in dem er- 
sten Steuergerat ermittelten Daten von den von dem wenig- 
stens einen weiteren Steuergerat ermittelten Daten abwei- 
chen. 

Dieses Verfahren unterscheidet sich von dem Verfahren 
nach Anspruch 2 dadurch, daB die Daten dem wenigstens ei- 
nen weiteren Steuergerat direkt zugefuhrt werden. Dadurch 
steigt zwar der Aufwand hinsichtlich der Verkabelung, es 
kann aber auch der Leistungsumfang verbessert werden. 
Bei spiels weise ist es auch moglich, Verarbeitungsfehler auf- 
grund einer fehlerhaften Verbindung von beispielsweise ei- 
nem Sensor mit dem Steuergerat festzustellen. Eine solche 
fehlerhafte Verbindung kann beispielsweise in einer fal- 
schen Verkabelung oder auch in einer korrodierten Kontak- 
tierung begriindet sein. Weitere Vorteile bestehen dann, 
wenn das fehlerhafte Steuergerat abgeschaltet und dessen 
Steuer- bzw. Regelaufgabe von dem wenigstens einen wei- 
teren Steuergerat ubernomixien werden soil. Wenn das we- 
nigstens eine weitere Steuergerat die Daten von dem ersten 
Steuergerat ubemiittelt bekommt, stehen diese Daten nach 
einem Abschalten des ersten Steuergerates nicht mehr zur 
Verfugung. 

Bei dem Verfahren nach Anspruch 4 werden die von dem 
ersten Steuergerat auszugebenden Daten mittels des Dalen- 
busses von dem ersten Steuergerat an das wenigstens eine 
weitere Steuergerat ubermiitelt. 

Die Kontrolle und der Vergleich der Daten wird dann in 
dem wenigstens einen weiteren Steuergerat vorgenommen. 

Bei dem Verfahren nach Anspruch 5 werden die von dem 
ersten Steuergerat auszugebenden Daten mittels des Dalen- 
busses von dem wenigstens einen weiteren Steuergerat an 
das erste Steuergerat iibennitlelt. 

Die Kontrolle und der Vergleich der Daten wird dann in 
dem ersten Steuergerat vorgenommen. 

Bei dem Verfahren nach Anspruch 6 werden die auszuge- 
benden Daten als Prufsummen zusammengefaBt. 

Durch die Bildung dieser Prufsummen aus den Daten 
(beispielsweise durch Bilden von Quersummen o. a.) wird 
vorteilhaft die Datenmenge reduzierl, die uber den Datenbus 
ubertragen werden muB. Dies wirkt sich besonders bei einer 
Vielzahl von Steuergeraten aus, die sich wechselseitig iiber- 
priifen. 

Bei dem Verfahren nach Anspruch 7 werden die ermittel- 
ten Daten einer Plausibilitatspriifung unterzogen. 

Wenn eine Abweichung in den ermittelten Daten zweier 
Steuergerate testgestellt wird, laBt sich anhand einer Plausi- 
bilitatsprufung unter Umstanden feststellen, welches der 
Steuergerate einen Fehler aufweist. Eine Plausibilitatsprii- 
fung kann beispielsweise darin bcstchcn, daB tur bestimmte 
GroBen bestimmte Grenzwerte vorgegeben sind, innerhalb 
der sich diese GroBen befinden miissen. 

Bei dem Verfahren nach Anspruch 8 werden die von dem 
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crsicn Sicuergerai zu emiiliclndcn Daien durch wcnigsiens 
zwei weitere Sieuergerate ubcrpruft. Dabei wird das Sicuer- 
gerai als fehlerhafi erkannu dessen emiilielle Daten von den 
eniiillelten Daien der anderen Steuergeraie ahweichen, so- 
weit diese enni tie lien Daien ubereinslimmen. 

Wenn die Daten njehrercr Steuergerale ubereinslimmen, 
besleht eine uberwiegendc Wahrscheinlichkeiu daB diese 
Sieuergerate fehlerfrei arbeiien. Gegebenenfalls kann dieses 
Kriierium noch mil einer Plausibiliiatsprufung gemafi An- 
spruch 7 verbunden werden. 

Bei dem Verfahren nach Anspruch 9 wird das Steuergerat 
bei einem erkannlen Fehler abgeschaiteL 

Dadurch kann vorteilhafi die Ausgabe fehlerhafler Stell- 
groBen vermieden werden. 

Bei dem Verfahren nach Anspruch 10 wird die Steuer- 
bzw. Regelaufgabe des abgeschaltelen Sieuergeraies von 
wenigsiens einem anderen Sieuergerai niit ubemommen. 

Dadurch wird vortcilhaft die Funktion aufrccht crhaltcn. 
Beim nachsten Werkstaiiaufenthalt kann das defekte Sieuer- 
gerai wieder instand geselzr werden. 

Ein Ausfiihrungsbeispiel der Erfindung ist in der Zeich- 
nung naher dargesiellt. Es zeigt dabei im einzelnen: 

Fig. 1 ein AustuhrungsbeispieL bei der ein Mikroprozes- 
sor eines Sieuergeraies mitiels einer Watchdog-Schaltung 
uberwachl wird und 

Fig. 2 ein Ausfiihrungsbeispiel, bei dem sich zwei Mikro- 
prozessoren verschiedener Sieuergerate gegenseitig bzw. 
selbst uberwachen. 

Bei dem Ausfuhrungsbeispiei der Fig, 1 ist ein Mikropro- 
zessor 1 eines Sieuergeraies mil einem Takigeber (Quarz) 2 
verbunden. Weilerhin ist der Mikroprozessor uber Lei tun- 
gen 3.1 und 3.2 an einen Datenbus angeschlossen, iiber den 
der Mikroprozessor mil anderen Mikroprozessoren Daten 
austauschen kann, Diese Leitungen 3.1 und 3.2 werden von 
einer Watchdog-Schaltung 4 mil einem eigenen Takigeber 2 
uberwacht. 

ErfindungsgemaB uberwacht diese Watchdog-Schaltung 
die Leitungen 3.1 und 3.2 nicht nur darauf, daB Signale ge- 
sendet werden sondem uberwacht die von dem Mikropro- 
zessor gesendeten Daten darauf, daB diese Daten bestimm- 
ten Signalmustem enlsprechen. Die von dem Mikroprozes- 
sor ausgegebenen Daten enlsprechen beslinmiten Signalmu- 
stem, wenn diese Daten plausibel und richtig sind. Indem 
also die Watchdog-Schaltung die von dem Mikroprozessor 
ausgegebenen Daten auf eine Ubereinstimmung mit den Si- 
gnalmustem uberwacht, kann mitteis der Watchdog-Schal- 
tung nicht nur ein Totalausfall des Mikroprozessors erkannl 
werden sondem auch ein Beuiebszustand des Mikroprozes- 
sors, bei dem dieser fehlerhafte Signale erzeugl. 

Wenn ein Fehler erkannt wurde, kann von der Watchdog- 
Schaltung 4 iiber eine Leitung 8 eine Abschalteinrichtung 5 
angesieuert werden, bei der ein Schallelement 7 einen sieu- 
erbaren Schalter 6 offnei. 

Wie in Fig. 1 dargesiellt, kann auch der Mikroprozessor 1 
uber die Leitung 9 und die Leitung 8 die Abschalteinrich- 
tung 5 ansteuem und sich damit selbst abschalien, wenn der 
Mikroprozessor 1 - beispielsweise aufgrund einer Plausibi- 
liiatsprufung - erkennt, daB ein Betriebsfehler vorliegt. 

Fig. 2 zeigt ein Austuhrungsbeispiel, bei dem sich zwei 
Mikroprozessoren 201 und 251 gegenseitig und selbst uber- 
wachen. Die Mikroprozessoren sind dabei in zwei verschie- 
denen Steuergeraten untergebracht. Die jeweilige Haupt- 
funktion der Mikroprozessoren 201 und 251 besleht also in 
verschiedenen Sieuer- bzw, Regelaufgaben. 

Dem Mikroprozessor 201 werden fur seine Hauptfunk- 
tion beispielsweise Signale von Sensoren zugefiihrt, die in 
der Fig. 2 zusammenfassend mil dem Bezugszeichen 202 
dargesiellt sind. Die Signale dieser Sensoren werden dem 



Mikroprozessor uber cine odcr mehrere Signalleitungen 203 
zugefuhrl. Weilerhin ist der Mikroprozessor 201 mil Aktua- 
toren verbunden, die in der Fig. 2 zusammenfassend mil 
dem Bezugszeichen 204 dargesiellt sind. Die Aktuaioren 
5 204 werden von dem Mikroprozessor 201 uber eine oder 
mehrere Leitungen 205 angesteuert. 

Die beiden Mikroprozessoren 201 und 251 konnen uber 
Leitungen 220 und 221 eines Datenbusses Daten miteinan- 
der austauschen. 

10 Dem Mikroprozessor 251 werden fiir seine Hauplfunk- 
tion beispielsweise Signale von Sensoren zugefiihrt, die in 
der Fig. 2 zusammenfassend mit dem Bezugszeichen 252 
dargesiellt sind. Die Signale dieser Sensoren werden dem 
Mikroprozessor iiber eine oder mehrere Signalleitungen 253 

15 zugefiihrt. Weilerhin isi der Mikroprozessor 251 mil Aktua- 
ioren verbunden, die in der Fig. 2 zusammenfassend mit 
dem Bezugszeichen 254 dargesiellt sind. Die Aktuaioren 
254 werden von dem Mikroprozessor 251 iiber cine odcr 
mehrere Leitungen 255 angesteuert. 

20 Weilerhin. sind in der Fig. 2 Abschalteinrichtungen 206 
und 256 zu sehen, bei deren Ansteuerung jeweils die Mikro- 
prozessoren 201 und 251 abgeschaltet werden konnen. Die 
Abschalteinrichtungen 206 und 256 bestehen jeweils aus ei- 
nem steuerbaren Schalier 207 bzw, 257 und einem Schalt- 

25 elenieni 208 bzw. 258. Jetie der Abschalteinrichtungen 206 
und 256 kann vorteilhaft von beiden Mikroprozessoren 201 
und 251 angesteuert werden. Dies erfolgt iiber die Leitungen 
212 und 209 bzw. uber die Leitungen 262 und 259. Dadurch 
ist es vorteilhafterweise moglich, daB sich jeder der Mikro- 

30 prozessoren 201 und 251 bei einem erkannlen Fehler selbst 
abschaltet als auch daB einer der Mikroprozessoren von dem 
anderen Mikroprozessor abgeschaltet wird, wenn dieser an- 
dere Mikroprozessor bei dem einen Mikroprozessor einen 
Fehler erkennt. Um den Verkabelungsaufwand zu niinimie- 

35 ren, kann die Abschaltung auch soweit reduziert werden, 
daB jeder Mikroprozessor nur von einem der Mikroprozes- 
soren abgeschaltet werden kann. 

Mit der bisher beschriebenen Ausgestaltung kann einer 
der Mikroprozessoren 201 und 251 dem anderen Mikropro- 

40 zessor uber den Datenbus 220, 221 die von den jeweiligen 
Sensoren 202 bzw. 252 empfangenen Daten iibersenden. In 
dem anderen Mikroprozessor kann enisprechend den dann 
vorliegenden Daten die Steuer- bzw. Regelaufgabe parallel 
bearbeilet werden. Das Ergebnis kann iiber den Datenbus 

45 ijbertragen und in einem der Mikroprozessoren 201 bzw. 
251 verglichen werden. Wenn die Ergebnisse voneinander 
abweichen, liegt in einem der Mikroprozessoren ein Fehler 
vor, der evenluell aufgrund einer Plausibiliiatsprufung oder 
aufgrund eines Vergleiches mit dem Ergebnis eines (hier aus 

50 Griinden der Ubersichllichkeit nicht naher dargestellten) 
dritlen Mikroprozessors lokalisiert werden kann., Der fehler- 
hafte Mikroprozessor kann iiber die Ansteuerung der ent- 
sprechenden Abschalteinrichtung 206 bzw. 256 abgeschaltet 
werden. Diese Abschaltung kann von dem entsprechenden 

55 Mikroprozessor selbst vorgenommen werden oder von dem 
anderen Mikroprozessor. 

Um die Menge der zu iibertragenden Daten zu minimie- 
ren, kann das Ergebnis der Steuer- bzw. Regelaufgabe 
zwecks des Vergleiches auch in einer oder mehreren Priif- 

60 sutmnen zusammengefaBl werden. 

Weiterhin sind in der Darstellung der Fig. 2 noch gestri- 
chelte Linien 210 und 260 sowie 211 und 261 dargesiellt. 

Mitiels dieser dargestellten Leitungen werden die Sensor- 
daten unmittelbar auch jeweils dem Mikroprozessor zuge- 

65 fuhrt, dcsscn Hauplaufgabc nicht in der Bcarbcitung der 
Steuer- bzw. Regelaufgabe dieser erf aB ten Sensordaten be- 
sleht 

Vorteilhafi kann mit dieser Ausfuhrungsform evenluell 
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ein Fehler erkannt werden, der auf einem falschen AnschluB 
der Sensoren an dem jeweiligen Mikroprozessor beruhl bzw. 
auf einer fehlerhaften Kontaktierung, beispielsweise auf- 
grund einer Korrosion des Anschlusses. 

Ein weiterer Vorteil best^hl darin, daB der kontroUierende 
Mikroprozessor die Steuer- bzw. Regelaufgabe des kontrol- 
lierten (und infolge eines erkannten Fehlers abgeschalteten) 
Mikroprozessors ubemehmen kann, weii diesem die Daten 
der Sensoren weiterhin auch nach einem Abschalien des an- 
deren Mikroprozessors zur Verfiigung stehen. Bei dieser 
Ausfiihrungsform sind die Aktuatoren der jeweils von den 
beiden Mikroprozessoren 201 und 251 auch iiber ebenfalls 
gestxichelte dargestellte Leitungen 211 und 261 von dem je- 
weils anderen Mikroprozessor ansteuerbar, damil bei einer 
Abschaltung eines Mikroprozessors aufgrund eines Fehler- 
falles die Sleuer- bzw. Regelaufgabe von dem jeweils ande- 
ren Mikroprozessor ubemominen werden kann. 

Patentanspriiche 

20 

1 . Verfahren zur Fehlererkennung von Mikroprozesso- 
ren (1) in Steuergeraten eines Kfz, wobei ein Steuerge- 
rat mittels eines Datenbusses (3,1, 3,2) Daten senden 
und empfangen kann, wobei der Ausgang des Mikro- 
prozessors (1) iiiiUels einer Walchdog-Schallung (4) 25 
uberwacht wird, dadurcli gckcnnzcichnct, daB die 
Watchdog-Schaltung (4) die von dem Mikroprozessor 
(1) ausgegebenen Signale mit vorgegebenen Signalmu- 
slem vergleicht, wobei ein Fehler erkannt wird, wenn 
die von dem Mikroprozessor (1) ausgegebenen Signale 30 
nicht mit einem der vorgegebenen Signalmuster uber- 
einstinimen. 

2. Verfahren zur Fehlerkennung von Mikroprozesso- 
ren (201, 251) in Steuergeraten eines Kfz, wobei ein er- 
stes Sleuergerat mittels eines Datenbusses (220, 221) 35 
Daten mit wenigstens einem weiteren Steuergerat aus- 
tauschen kann, dadurch gekennzeichnet, daB von dem 
ersten Steuergerat die zur Durchfuhrung zumindest ei- 
nes Teiles der Steuer- oder Regelaufgabe dieses Steuer- 
geraies notwendigen Daten (202, 252) mittels des Da- 40 
tenbusses (220, 221) dem wenigstens einen weiteren 
Steuergerat zugefuhrt werden, daB entsprechend dem 
Verfahren zur Steuerung bzw. Regelung in dem ersten 
Steuergerat die von dem ersten Steuergerat zu ermit- 
telnden und gegebenenfalls auszugebenden Daten 45 
(204, 254) von dem wenigstens einen weiteren Steuer- 
gerat nachgebildet werden, wobei ein Fehler erkannt 
wird, wenn die in dem ersten Steuergerat ennittelten 
Daten von den von dem wenigstens einen weiteren 
Steuergerat ermittelten Daten abweichen. 50 
3- Verfahren zur Fehlerkennung von Mikroprozesso- 
ren (201, 251) in Steuergeraten eines Kfz, wobei ein er- 
stes Sleuergerat mittels eines Datenbusses Daten mit 
wenigstens einem weiteren Steuergerat austauschen 
kann, dadurch gekennzeichnet, daB die zur Durchfiih- 55 
rung zumindest eines Teiles der Steuer- oder Regelauf- 
gabe des ersten Steuergerates notwendigen Daten (202, 
252) ebenfalls dem wenigstens einen weiteren Steuer- 
gerat zugefiihrt werden (260, 210), daB entsprechend 
dem Verfahren zur Steuerung bzw. Regelung in dem er- 60 
sten Steuergerat die von dem ersten Steuergerat zu er- 
miuelnden und gegebenenfalls auszugebenden Daten 
(204, 254) von dem wenigstens einen weiteren Steuer- 
gerat nachgebildet werden, wobei ein Fehler erkannt 
wird, wenn die in dem ersten Steuergerat ermittelten 65 
Daten von den von dem wenigstens einen weiteren 
Steuergerat ennittelten Daten abweichen. 

4. Verfahren nach Anspruch 2 oder 3, dadurch gekenn- 



zeichnet, daB die von dem ersten Steuergerat auszuge- 
benden Daten mittels des Datenbusses (220, 221) von 
dem ersten Sleuergerat an das wenigstens einc weitere 
Steuergerat ubermitlelt werden. 

5. Verfahren nach Anspruch 2 oder 3, dadurch gekenn- 
zeichnet, daB die von dem ersten Steuergerat auszuge- 
benden Daten mittels des Datenbusses (220, 221) von 
dem wenigstens einen weiteren Steuergerat an das erste 
Steuergerat ubennitielt werden. 

6. Verfahren nach Anspruch 4 oder 5, dadurch gekenn- 
zeichnet, daB die auszugebenden Daten als eine oder 
mehrere Priifsummen zusammengefaBt werden. 

7. Verfahren nach einem der Anspriiche 2 bis 6, da- 
durch gekennzeichnet, daB die ennittelten Daten einer 
Plausibilitatspriifung unterzogen werden. 

8. Verfahren nach einem der Anspriiche 2 bis 7, da- 
durch gekennzeichnet, daB die von dem ersten Steuer- 
gerat zu cnnittclndcn Daten durch wenigstens zwci 
weitere Steuergerate uberpriift werden und daB das 
Steuergerat als fehlerhaft erkannt wird, dessen ermit- 
telte Daten von den ermittelten Daten der anderen 
Steuergerate abweichen, soweit diese ermittelten Daten 
ubereinstimmen. 

9. Verfahren nach einem der Anspriiche 1 bis 8, da- 
durch gekennzeichnet, daB das Steuergerat bei einem 
erkannten Fehler abgeschaltet wird (5, 206, 256)7 

10. Verfahren nach Anspruch 9, dadurch gekennzeich- 
net, daB die Steuer- bzw. Regelaufgabe des abgeschal- 
teten Steuergerates von wenigstens einem anderen 
Steuergerat mit ubernommen wird. 
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